Què pot revelar Instagram? OSINT, privacitat i límits del vídeo

En resum

El vídeo de whoamitang afirma que, partint només d’un nom d’usuari d’Instagram, és possible descobrir el nom real d’una persona, la ciutat on viu, el telèfon, el domicili i tots els comptes que ha creat. La demostració utilitza OSINT —intel·ligència de fonts obertes— i tres eines que agreguen dades de xarxes socials i cerquen noms d’usuari en altres webs.

El risc que descriu és real: dades petites i disperses poden combinar-se per perfilar una persona, preparar una suplantació o fer més creïble un atac de phishing. Però la demostració no prova les promeses del títol i la descripció:

• el perfil investigat és un compte fictici creat pel mateix autor;
• no s’obté cap nom real verificat;
• no es mostra el telèfon de la persona;
• la ubicació recuperada correspon a l’etiqueta d’un lloc en una publicació, no a un domicili;
• els perfils amb el mateix àlies no es validen com a propietat de la mateixa persona;
• l’afirmació que el compte era privat és incompatible amb parts de la mateixa demo i amb la documentació de les eines.

La lliçó útil no és «qualsevol hacker pot saber-ho tot», sinó que cal reduir els identificadors reutilitzats, revisar les ubicacions i limitar la informació pública del perfil.

Nota editorial: per no facilitar doxxing, assetjament o phishing, aquest article analitza els riscos i les defenses, però no reprodueix les ordres, credencials ni la seqüència operativa del vídeo.

Què és OSINT i què no és

OSINT és la recopilació i l’anàlisi d’informació obtinguda de fonts accessibles: webs, registres, xarxes socials, documents, mapes o repositoris. El valor no sol provenir d’una dada secreta, sinó de connectar peces que, per separat, semblen poc importants.

En un ús legítim, pot servir per a periodisme, verificació, resposta a incidents, investigació de frau, protecció de marca o autoauditories de privacitat. Les mateixes tècniques, aplicades a una persona sense necessitat ni autorització, també poden facilitar:

• doxxing i localització;
• suplantació d’identitat;
• phishing personalitzat;
• assetjament;
• enginyeria social contra amistats o família;
• perfilatge injustificat.

Dir que «OSINT és legal» sense més context és massa simple. La licitud depèn de la finalitat, les dades, la base jurídica, la forma d’accés, les condicions de la plataforma i el que es fa amb el resultat. Que una dada sigui visible no significa que qualsevol recopilació, correlació o reutilització estigui autoritzada.

Què fa realment la demostració

El vídeo treballa amb un compte alternatiu de l’autor anomenat «miss.firewall». Primer consulta informació bàsica del perfil. Després recupera les coordenades associades a una etiqueta de lloc d’una publicació i les converteix en una adreça llegible. També enumera correus públics d’alguns comptes seguits i busca el mateix nom d’usuari en centenars de webs.

Finalment, executa una cerca amb el seu propi àlies habitual i mostra que una eina pot extreure camps públics, com ara nom o ubicació, de perfils trobats en altres serveis.

Tot això demostra que les eines poden agregar i accelerar consultes. No demostra que tots els resultats siguin exactes ni que pertanyin a la mateixa identitat.

La promesa del vídeo, punt per punt

El vídeo sí que il·lustra una superfície d’exposició. El problema és presentar indicis com si fossin identificacions confirmades.

El compte privat: què continua sent visible

Meta explica que, encara que un compte personal sigui privat, alguns camps continuen sent públics:

• nom;
• nom d’usuari;
• foto de perfil;
• biografia;
• enllaços;
• nombre de seguidors i de comptes seguits;
• identificadors relacionats, com el nom a Threads.

En canvi, les publicacions d’un compte privat només són visibles per als seguidors aprovats. La documentació d’Osintgram coincideix amb això: afirma que no pot obtenir contingut d’un perfil privat tret que el compte utilitzat per l’eina ja el segueixi.

Hi ha una altra contradicció. Durant la demo, el resultat identifica el perfil com a compte de negoci o professional. El centre d’ajuda d’Instagram diu que els comptes professionals no es poden configurar com a privats. Cal tornar a un compte personal per fer-ho.

Per tant, hi ha diverses explicacions possibles: el perfil no era privat, el compte de consulta n’era seguidor aprovat o l’etiqueta de «business account» no reflectia l’estat real. El vídeo no ho resol i, en conseqüència, no prova que la protecció d’un perfil privat s’hagi saltat.

L’«adreça exacta» és una geocodificació, no una casa

El codi d’Osintgram ajuda a entendre què passa. La funció d’ubicacions:

1. llegeix les publicacions accessibles;
2. comprova si l’objecte de lloc conté latitud i longitud;
3. envia aquestes coordenades a un servei de geocodificació inversa;
4. imprimeix l’adreça retornada pel mapa.

No extreu una adreça postal amagada del dispositiu. Converteix les coordenades del lloc etiquetat en una etiqueta textual. Aquest punt pot ser un establiment, una ciutat, un monument o un lloc creat per una altra persona.

Meta també ha aclarit, en explicar Instagram Map, que una publicació amb ubicació etiquetada pot aparèixer al mapa, però això no equival necessàriament a la ubicació actual de l’usuari. Al vídeo, la foto i el rètol proper fan plausible que el compte de prova fos en aquella zona, però continuen sense demostrar que l’adreça retornada sigui un domicili o el punt GPS exacte on es va fer la foto.

La defensa correcta és igualment important: no etiquetar ubicacions sensibles o en temps real, revisar publicacions antigues i entendre que un nom de lloc genèric pot estar associat a coordenades més concretes.

Els correus trobats no són el correu de l’objectiu

La demostració recupera correus associats a alguns comptes que el perfil fictici segueix. No obté el correu privat del compte investigat. En molts perfils professionals, les dades de contacte es publiquen voluntàriament mitjançant el botó de contacte.

La dada pot ser útil per a un atacant perquè revela possibles relacions i canals de comunicació. De fet, el vídeo suggereix que es podrien enviar missatges fent-se passar per la persona investigada. Aquesta proposta ja no és una simple auditoria: és un exemple de suplantació i enginyeria social.

INCIBE explica que els delinqüents utilitzen informació pública per crear perfils falsos i personalitzar missatges de phishing. La protecció no consisteix només a ocultar el correu propi; també cal desconfiar d’un missatge aparentment personal que demana dades, diners, codis o clics.

Un mateix àlies no identifica una persona

Sherlock comprova l’existència d’un nom d’usuari en més de 400 xarxes i serveis. Maigret amplia el nombre de llocs i pot extreure camps públics dels perfils trobats. Aquestes capacitats estan documentades als repositoris oficials.

Però trobar usuari123 en 46 webs no significa que hi hagi 46 comptes de la mateixa persona. Els àlies:

• poden coincidir per casualitat;
• poden haver canviat de propietari;
• poden ser reservats per bots;
• poden pertànyer a fans o imitadors;
• poden produir falsos positius per la resposta d’una web.

Una atribució responsable necessita diversos indicadors independents: fotografia, biografia, enllaços creuats, dates, estil, activitat i confirmació directa. Fins i tot amb coincidències, el resultat s’ha de tractar com una hipòtesi, no com un fet publicable.

L’eina Maigret adverteix que l’usuari és responsable de complir les lleis aplicables, inclòs el RGPD, i que les comprovacions de llocs es trenquen amb el temps. Automatitzar una cerca augmenta la cobertura, però no substitueix la validació.

«És públic» no vol dir «es pot fer qualsevol cosa»

Les condicions d’Instagram prohibeixen recollir informació de manera automatitzada sense permís exprés, accedir a dades per vies no autoritzades, suplantar altres persones i publicar informació privada o confidencial sense permís.

En l’àmbit europeu, el Comitè Europeu de Protecció de Dades ha reiterat el 2026 que el RGPD s’aplica al web scraping quan hi ha recopilació, emmagatzematge, organització o recuperació de dades personals. Cal considerar la base jurídica, la limitació de finalitat, la transparència, la minimització i l’exactitud.

Això no converteix tota cerca de fonts obertes en il·legal. Significa que:

• la visibilitat pública no és un consentiment universal;
• l’ús defensiu sobre comptes propis no és equivalent a perfilar desconeguts;
• una investigació periodística o de seguretat necessita necessitat, proporcionalitat i protecció de dades;
• assetjar, enganyar, amenaçar o defraudar pot generar responsabilitats addicionals;
• les condicions contractuals d’una plataforma poden prohibir l’automatització encara que la pàgina sigui visible.

El descàrrec «només per a fins educatius» no anul·la aquestes obligacions.

Com reduir la teva exposició a Instagram

1. Revisa el que sempre és públic

Obre el perfil des d’una finestra privada i comprova nom, foto, biografia, enllaços i comptadors. Elimina dates de naixement, ciutat, feina, escola, telèfon o correus que no necessitin ser visibles.

2. Separa identitats i noms d’usuari

No reutilitzis el mateix àlies en comptes personals, comunitats sensibles, jocs, fòrums i serveis professionals. La separació dificulta que una sola cerca connecti tota l’activitat.

3. Fes privat el compte personal

Accepta només persones conegudes i revisa periòdicament els seguidors. Recorda que els camps bàsics del perfil continuen públics. Si utilitzes un compte professional, valora si realment necessites que sigui professional i quines dades mostra el botó de contacte.

4. Elimina ubicacions innecessàries

Evita publicar la ubicació en temps real, treu etiquetes de lloc de casa, feina, escola o rutines, i revisa publicacions antigues. Desactiva l’accés a la ubicació del dispositiu quan l’aplicació no el necessiti.

5. Redueix pistes combinables

Una foto d’una finestra, un uniforme, un horari, una matrícula parcial i una ruta habitual poden ser més reveladors junts que per separat. Revisa també contingut on t’han etiquetat altres persones.

6. Activa autenticació de dos factors

Instagram recomana una aplicació d’autenticació. Revisa els inicis de sessió, elimina dispositius desconeguts i guarda els codis de recuperació en un lloc segur.

7. Fes una autoauditoria segura

Cerca el teu nom, àlies antics i imatges de perfil; comprova què es veu sense iniciar sessió; revisa filtracions conegudes mitjançant serveis legítims; i demana la retirada de dades desactualitzades o publicades sense base.

8. Verifica missatges per un altre canal

Si una amistat demana diners, credencials o un codi, confirma-ho amb una trucada o un canal conegut. La informació personal del missatge només demostra que algú ha investigat, no que sigui la persona que diu ser.

Si trobes dades personals o una suplantació

Documenta l’incident amb captures, URL i dates abans que desaparegui. Demana la retirada al lloc original, denuncia el perfil fals a la plataforma i avisa els contactes que podrien rebre missatges.

L’Agència Espanyola de Protecció de Dades explica que el dret de supressió permet demanar l’eliminació de dades quan es compleixen les condicions del RGPD. Davant dels cercadors, el «dret a l’oblit» pot limitar que determinats resultats apareguin quan es busca el nom d’una persona, encara que la font original no desaparegui.

Si hi ha amenaces, extorsió, seguiment físic o risc immediat, no interactuïs amb l’agressor: conserva proves i recorre als canals oficials de la plataforma, les autoritats o els serveis públics de ciberseguretat.

Com utilitzar OSINT de manera responsable

Una autoauditoria o una prova autoritzada hauria de seguir aquestes regles:

• treballar només amb comptes propis o autorització escrita;
• definir una finalitat i un límit abans de començar;
• recollir només les dades necessàries;
• no intentar saltar controls de privacitat;
• no contactar tercers fent-se passar per ningú;
• validar falsos positius abans d’afirmar una identitat;
• protegir i eliminar els resultats quan ja no calguin;
• comunicar riscos sense exposar dades personals.

Conclusió

El vídeo encerta en el missatge general: la petjada digital es pot combinar i convertir en una eina d’enginyeria social. També mostra que les ubicacions etiquetades, els noms d’usuari reutilitzats i les dades de contacte públiques mereixen una revisió.

Però el títol exagera el resultat. No es demostren un nom real, un telèfon, un domicili ni «tots» els comptes; el perfil és fictici i l’afirmació sobre la privacitat és inconsistent amb la documentació oficial.

La resposta no ha de ser por ni vigilància indiscriminada. Ha de ser una higiene digital concreta: menys identificadors compartits, menys ubicació, menys dades públiques, autenticació forta i verificació abans de confiar en un missatge.